Положение об обработке и защите персональных данных
Содержание
1. Термины и определения
2. Общие положения
3. Состав персональных данных
4. Цель обработки персональных данных
5. Сбор, обработка и защита персональных данных
6. Обезличивание, уничтожение персональных данных
7. Передача, трансграничная передача и хранение персональных данных
8. Доступ к персональным данным сотрудниками Организации и третьих лиц
9. Права Организации как оператора персональных данных
10. Права субъекта персональных данных
11. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных.
12. Внесение изменений и дополнений в настоящее Положение
1. Термины и определения
1.1. Персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации - физическому лицу (субъекту персональных данных), являющемуся Пользователем сайтов и Сервиса ООО «Е-КОММЕРС СОЛЮШЕНС» (далее – Организация) или сотрудником Организации, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, паспортные данные, другая информация.
1.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых Организацией с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
1.3. Автоматизированная обработка персональных данных - обработка Организацией персональных данных с помощью средств вычислительной техники без привлечения к обработке сотрудников Организации;
1.4. Конфиденциальность персональных данных — обязательное для соблюдения сотрудниками Организации и назначенными ответственными лицами, получившими доступ к персональным данным Пользователей, сотрудников Организации, в процессе своей трудовой деятельности, требование не допускать их распространения без согласия субъектов персональных данных или иного законного основания.
1.4. Распространение персональных данных — действия, направленные на передачу персональных данных определенному кругу лиц или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.
1.5. Использование персональных данных — действия (операции) с персональными данными, совершаемые сотрудником Организации в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных либо иным образом затрагивающих их права и свободы или права и свободы других лиц.
1.6. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
1.7. Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе Организации и (или) в результате которых уничтожаются материальные носители с персональными данными субъектов персональных данных;
1.8. Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
1.9. Информационная система персональных данных Организации - совокупность содержащихся в базах данных персональных данных, обеспечивающих их обработку с помощью информационных технологий и технических средств Организации;
1.10. Общедоступные персональные данные — персональные данные субъектов персональных данных, доступ неограниченного круга лиц к которым предоставлен с согласия самого субъекта или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
1.12. Информация — сведения (сообщения, данные) независимо от формы их представления.
1.13. Субъект персональных данных – физическое лицо, гражданин РФ или иного иностранного государства, а также лицо без гражданства (апатрид), сотрудник Организации либо пользователь сети Интернет, зарегистрированный на сайте/Сервисе Организации (www.kupikupon.ru, www.kupiotpusk.ru и иных сайтах), потенциальный потребитель услуг, товаров или работ, и их реклама, которые размещены на сайте/Сервисе Организации.
1.14. Организация – Общество с ограниченной ответственностью «Е-КОММЕРС СОЛЮШЕНС», осуществляющее свою деятельность с помощью интернет-сайтов, принадлежащих Обществу с ограниченной ответственностью «Е-КОММЕРС СОЛЮШЕНС».
2. Общие положения
2.1. Настоящее Положение об обработке персональных данных (далее — Положение) разработано в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом "Об информации, информационных технологиях и о защите информации", Федеральным законом 152-ФЗ "О персональных данных", иными федеральными законами.
2.2. Цель разработки настоящего Положения — определение порядка обработки Организацией персональных данных всех субъектов персональных данных, данные которых подлежат обработке, на основании полномочий оператора; обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности сотрудников Организации, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.
2.3. Порядок ввода в действие и изменения Положения.
2.3.1. Настоящее Положение вступает в силу с момента его утверждения Генеральным директором Общества с ограниченной ответственностью «Е-КОММЕРС СОЛЮШЕНС» (далее Организация) и действует бессрочно, до замены его новым Положением.
2.3.2. Изменения в Положение вносятся на основании Приказа Генерального директора Организации.
3. Состав персональных данных
3.1. В состав персональных данных субъектов персональных данных, предоставляемых пользователями и обрабатываемых Организацией в процессе своей деятельности с пользователями входят:
3.1.1. Фамилия, имя, отчество.
3.1.2. Дата рождения.
3.1.3. Пол (М/Ж).
3.1.4. Город проживания.
3.1.5. Адрес электронной почты.
3.1.6. Почтовый адрес.
3.1.7. Телефон (домашний, сотовый).
3.1.8. Паспортные данные.
3.1.9. Информация по оплатам, расчетные счета.
3.1.10. Фотография (Аватар).
3.1.11. Номера клубных и иных дисконтных карт,
3.2. В состав персональных данных субъектов персональных данных, предоставляемых сотрудниками и обрабатываемых Организацией в процессе своей деятельности входят:
3.2.1. Фамилия, имя, отчество.
3.2.2. Дата рождения.
3.2.3. Пол (М/Ж).
3.2.4. Город проживания.
3.2.5. Адрес электронной почты.
3.2.6. Почтовый адрес.
3.2.7. Телефон (домашний, сотовый).
3.2.8. Паспортные данные или иного документа, удостоверяющего личность;
3.2.9. Данные трудовой книжки, за исключением случаев, когда трудовой договор заключается впервые или сотрудник поступает на работу на условиях совместительства, либо трудовая книжка у сотрудника отсутствует в связи с ее утратой или по другим причинам;
3.2.10. Данные страхового свидетельства государственного пенсионного страхования;
3.2.11. Данные документов воинского учета — для военнообязанных и лиц, подлежащих воинскому учету;
3.2.12. Данные документов об образовании, о квалификации или наличии специальных знаний — при поступлении на работу, требующую специальных знаний или специальной подготовки;
3.2.13. Данные свидетельства о присвоении ИНН (при его наличии у сотрудника).
3.3. В Организации создаются и хранятся следующие электронные и бумажные документы, содержащие данные субъектов персональных данных:
3.3.1. Электронные анкеты Пользователей (сайтов www.kupikupon.ru, www.kupiotpusk.ru и иных сайтов) физических лиц (Фамилия, Имя, Отчество, Дата рождения, пол, город проживания, аватар (фото), номер телефона пользователя (при желании самого пользователя). Данная Анкета заполняется самим пользователем при прохождении регистрации на сайтах/Сервисе Организации, Организация не несет ответственности за достоверность этих данных.
3.3.2. Заявления пользователей, в электронном и в бумажном виде, содержащие персональные данные пользователя.
3.3.3. Список /действий пользователя в электронном виде в личном кабинете, произведенных (реализованных и не реализованных) на сайте/Сервисе Организации, содержащие персональные данные пользователя. Данная информация обрабатывается Организацией в обезличенном виде в виде статистики, в полном виде данная информация обрабатывается только в случае обращения самого пользователя.
3.3.4. Копии документов, удостоверяющих личность, а также иных документов, предоставляемых пользователями - субъектами персональных данных, и содержащих персональные данные.
3.3.5. Документы, содержащие информацию о паспортных данных, образовании, отношении к воинской обязанности, семейном положении, месте жительства, состоянии здоровья, а также о предыдущих местах их работы, указанные в п. 3.2.9-3.2.13. настоящего Положения.
3.3.6. Комплекс документов, сопровождающий процесс оформления трудовых отношений сотрудника в Организации при его приеме, переводе и увольнении.
3.3.7. При оформлении сотрудника в Организацию сотрудником отдела кадров заполняется унифицированная форма Т-2 «Личная карточка сотрудника», в которой отражаются следующие анкетные и биографические данные сотрудника:
- общие сведения (Ф.И.О. сотрудника, дата рождения, место рождения, гражданство, образование, профессия, стаж работы, состояние в браке, паспортные данные);
- сведения о воинском учете;
- данные о приеме на работу;
- В дальнейшем в личную карточку вносятся:
- сведения о переводах на другую работу;
- сведения об аттестации;
- сведения о повышении квалификации;
- сведения о профессиональной переподготовке;
- сведения о наградах (поощрениях), почетных званиях;
- сведения об отпусках;
- сведения о социальных гарантиях;
- сведения о месте жительства и контактных телефонах.
3.3.8. В Администрации Организации создаются и хранятся следующие группы документов, содержащие данные о сотрудниках в единичном или сводном виде:
3.3.8.1. Документы, содержащие персональные данные сотрудников (комплексы документов, сопровождающие процесс оформления трудовых отношений при приеме на работу, переводе, увольнении; комплекс материалов по анкетированию, тестированию; проведению собеседований с кандидатом на должность; подлинники и копии приказов по личному составу; личные дела и трудовые книжки сотрудников; дела, содержащие основания к приказу по личному составу; дела, содержащие материалы аттестации сотрудников; служебных расследований; справочно-информационный банк данных по персоналу (картотеки, журналы); подлинники и копии отчетных, аналитических и справочных материалов, передаваемых руководству Организации, руководителям структурных подразделений; копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие органы управления и другие учреждения).
3.3.8.2. Документация по организации работы структурных подразделений (положения о структурных подразделениях, должностные инструкции сотрудников, приказы, распоряжения, указания руководства Организации); документы по планированию, учету, анализу и отчетности в части работы с персоналом Организации.
3.3.9. Бухгалтерские документы (копии выписок с банковского счета, платежные поручения в адрес Банка).
3.3.10. Иные документы в бумажном и электронном виде, содержащие персональные данные, хранятся в бухгалтерии и/или архиве.
4. Цель обработки персональных данных
4.1. Цель обработки персональных данных:
4.1.1. Привлечение физических лиц на сайт/Сервис Организации, мотивирование пользователей на пользование физическими лицами Сервиса.
4.1.2. Осуществление расчетов физическими лицами, с помощью банков-корреспондентов, по банковским счетам пользователей, с помощью иных платежных систем и терминалов без получения информации о банковских счетах, если это предусмотрено (данная информация приходит от банков-корреспондентов и платежных систем в обезличенном виде).
4.1.3. Осуществление Организацией обязанностей работодателя.
4.1.4. Подача информации о сотрудниках в различные государственные учреждения, фонды, осуществление необходимых выплат.
4.1.5. Иные сделки, не запрещенные Законодательством Российской Федерации, а также комплекс действий с персональными данными, необходимых для исполнения вышеуказанных действий.
4.1.6. В иных целях исполнения требований законодательства Российской Федерации.
4.2. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
4.3. Обработка персональных данных пользователей необходима для исполнения сделок, заключенных или планируемых к заключению по воле и инициативе самого пользователя - субъекта персональных данных, выгодоприобретателем по которым является пользователь.
4.4. Обработка персональных данных сотрудников осуществляется в целях обеспечения нормативно правовых актов и соблюдения законов, содействия сотрудникам в трудоустройстве, продвижении по службе, обучении, обеспечении контроля качества и количества выполняемой работы, а так же в целях обеспечения личной безопасности сотрудника и сохранности имущества.
4.5. Запрещено принятие решений, которые затрагивают интересы сотрудника, на основании автоматизированной обработки или в случае их электронного получения.
4.6. Условием начала обработки персональных данных является получение согласия на обработку персональных данных как субъекта персональных данных, в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством РФ:
4.7.1. В отношении пользователей сайтов:
- заполнение пользователем на сайте/Сервисе Организации анкеты;
- подтверждение согласия на обработку персональных данных субъекта персональных данных и ознакомления субъекта персональных данных с пользовательским соглашением Организации www.kupikupon.ru, www.kupiotpusk.ru и на иных разделах сайтах Организации путем проставления CheckBox (галочки об ознакомлении) на сайте при регистрации, где указано, что регистрируясь на сайте, пользователь дает свое согласие на обработку его персональных данных без ограничения срока действия.
- регистрация пользователя на сайте/Сервисе Организации путем нажатия кнопки «Готово» на странице регистрации;
- активации учетной записи путем перехода по ссылке либо использование логина и одноразового пароля, присланных Организацией на электронную почту - субъекта персональных данных, указанную при заполнении Анкеты. При этом факт активации учетной записи (при переходе ем по ссылке) либо факт использования присланных логина и одноразового пароля для входа на Сайт также является согласием я на обработку его персональных данных Организацией, согласно ст. 9 Федерального Закона «О Персональных данных» № 152-ФЗ, что является доказательством получения согласия субъекта персональных данных на обработку его персональных данных.
4.7.2. В отношении сотрудников:
- подписание сотрудником и работодателем трудового договора, иного гражданско-правового договора;
- подписание сотрудником специального согласие на обработку его персональных данных как субъекта персональных данных.
4.8. Условием прекращения обработки Организацией персональных данных является:
- по письменному требованию субъекта персональных данных;
- по требованию суда;
- ликвидация Организации.
5. Сбор, обработка и защита персональных данных
5.1. Порядок получения (сбора) персональных данных:
5.1.1. Все персональные данные следует получать с их согласия на их обработку, данным ими свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.
5.1.2. Согласие субъекта на обработку персональных данных действует в течение всего срока деятельности Организации, сайта/Сервиса, а также в течение 10 (Десяти) лет с даты прекращения деятельности Организации, действия сайта/Сервиса Организации. По истечении указанного срока и по достижении целей обработки или в случае утраты необходимости в достижении этих целей, обрабатываемые персональные данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено Федеральным Законом «О Персональных данных» № 152-ФЗ.
5.1.3. В соответствии с ч. 3 ст. 6 Федерального Закона «О Персональных данных» № 152-ФЗ, Организация для надлежащего исполнения своих обязательств перед субъектом персональных данных вправе поручить обработку персональных данных третьим лицам без уведомления и получения согласия от субъекта персональных данных. Организация обязана при взаимодействии с третьими лицами заключить с ними соглашение о конфиденциальности информации, касающейся персональных данных пользователей и сотрудников Организации. В соответствии с ч. 4 ст. 6 Федерального Закона «О Персональных данных» № 152-ФЗ лицо, осуществляющее обработку персональных данных субъектов персональных данных по поручению Организации, не обязано получать согласие субъекта персональных данных на обработку его персональных данных. В случае, если Организация поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Организация. Лицо, осуществляющее обработку персональных данных субъектов персональных данных по поручению Организации, несет ответственность перед Организацией.
5.1.4. В соответствии с Федеральным Законом «О персональных Данных» Организация обязана сообщить субъектам персональных данных о целях получения персональных данных, а также о характере персональных данных, подлежащих предоставлению субъектом персональных данных и последствиях отказа дать согласие на их получение Организацией.
5.1.5. Согласно ч.2 ст. 9 Федерального Закона «О персональных данных» обработка персональных данных субъектов персональных данных и иных субъектов без их согласия осуществляется в том числе в следующих случаях:
5.1.5.1. Персональные данные сделаны общедоступными самим субъектом персональных данных или получены из общедоступного источника.
5.1.5.2. По требованию полномочных государственных органов в случаях, предусмотренных ФЗ «О защите персональных данных».
5.1.5.3. Обработка персональных данных осуществляется для статистических целей при условии обязательного обезличивания персональных данных;
5.1.5.4. В иных случаях, предусмотренных Федеральным Законом о «Персональных данных».
5.1.5.5. Обработка персональных данных осуществляется на основании Трудового кодекса РФ или иного федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия работодателя;
5.1.5.6. Обработка персональных данных осуществляется в целях исполнения трудового договора;
5.1.5.7. Обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов сотрудника, если получение его согласия невозможно.
5.2. Обработка персональных данных в целях продвижения услуг Организации пользователям путем осуществления прямых контактов с потенциальным Потребителем с помощью средств связи (телефона), осуществляется только при условии предварительного согласия субъекта персональных данных, выраженной путем регистрации Потребителя на сайте Организации, что является согласием субъекта персональных данных на данную обработку его персональных данных.
5.3. Организация не имеет права получать и обрабатывать персональные данные субъекта персональных данных о его расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, о членстве сотрудника в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Трудовым кодексом или иными федеральными законами.
5.4. Порядок обработки персональных данных пользователей:
5.4.1.Пользователь при регистрации на сайте/Сервисе Организации вводит достоверные сведения о себе согласно перечню, указанному в п. 3.2.1. настоящего Положения, которые в дальнейшем указываются на личной странице пользователя. Доступ к личной странице Пользователя возможен только при вводе верного пароля, самостоятельно выбранного пользователем, для пресечения несанкционированного доступа третьих лиц.
5.4.2. При использовании сайта/Сервиса Организации, для входа на свою личную страницу и для совершения действий, пользователь вводит адрес своей электронной почты и пароль. На основании полученной информации программа сайта (далее Программа) автоматически проверяет наличие данного пользователя на предмет регистрации в информационной системе Организации.
В случае наличия информации о конкретном пользователе в информационной системе Сайта (адрес электронной почты, пароль) Программа сверяет данные с ранее предоставленными и дает доступ к личной странице пользователя (при необходимости изменения персональных данных пользователь самостоятельно вносит соответствующие изменения).
Если данный пользователь отсутствует в информационной системе, либо указанные пользователем электронная почта и/или пароль не соответствуют данным в информационной системе Организации, то Программа сообщает об этом и предлагает зарегистрироваться как новый пользователь, согласно условиям, указанным в п. 5.4.1. настоящего Положения и заносит полную информацию о субъекте, после получения согласия последнего.
5.4.3. Обработка персональных данных пользователя может осуществляться исключительно в целях обеспечения осуществления действий, инициированных ем и совершенных по воле и желанию пользователя на сайте/Сервисе Организации, а также в случаях отказа пользователя от совершенной ранее сделки на сайте/Сервисе Организации, согласно требованиям Законодательства РФ.
5.5. Порядок обработки персональных данных сотрудников Организации:
5.5.1. Сотрудник Организации предоставляет представителю отдела кадров Организации достоверные сведения о себе. Представитель отдела кадров Организации проверяет достоверность сведений, сверяя данные, предоставленные сотрудником, с имеющимися у представителя документами.
5.5.2. Во всех случаях отказ сотрудника от своих прав на сохранение и защиту тайны недействителен.
5.6. При определении объема и содержания, обрабатываемых персональных данных Организация руководствуется требованиями Роскомнадзора, ФСБ, ФСТЭК и иных контролирующих органов, Конституцией Российской Федерации, Федерального закона «О персональных данных», и иными федеральными законами.
5.7. Защита персональных данных:
57.1. Под защитой персональных данных понимается комплекс мер (организационно-распорядительных, технических, юридических), направленных на предотвращение неправомерного или случайного доступа к ним третьих лиц, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
5.7.2. Защита персональных данных субъектов персональных данных осуществляется за счёт Организации в порядке, установленном ФЗ «О защите персональных данных».
5.7.3. Организация при защите персональных данных принимает все необходимые организационно-распорядительные, юридические и технические меры, в том числе:
5.7.3.1. Определение угроз, безопасности персональных данных при их обработке в информационных системах Организации. Анализ защищённости информационных систем Организации. Обнаружение и предотвращение несанкционированных вторжений третьих лиц. Восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним третьих лиц.
5.7.3.2. Применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных.
5.7.3.3. Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, применение антивирусной защиты, шифровальных (криптографических) средств.
5.7.3.4. Оценка эффективности принимаемых мер по обеспечению безопасности персональных данных субъектов персональных данных в информационной системе Организации.
5.7.3.5. Установление правил доступа сотрудников Организации и третьих лиц к персональным данным, обрабатываемым в информационной системе Организации, а также обеспечением регистрации и учета всех действий и лиц, совершаемых с персональными данными в информационной системе персональных данных.
5.7.3.6. Регистрация и учет машинных носителей персональных данных (серверного оборудования, компьютеров и проч.).
5.7.3.7. Обеспечение целостности информационной системы Организации, обнаружение фактов несанкционированного доступа к персональным данным и принятием мер.
5.7.3.8. Разработка нормативно-методических локальных актов, регулирующих защиту персональных данных.
5.7.3.9. Назначение ответственных должностных лиц, определение списка сотрудников Организации, имеющих доступ к персональным данным.
5.7.3.10. Контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных Организации.
6. Обезличивание, уничтожение персональных данных
6.1. Порядок обезличивания и уничтожения персональных данных:
6.1.1. Обезличивание персональных данных происходит
- по письменному заявлению субъекта персональных данных, при условии, что все договорные отношения завершены и от даты окончания последнего действия прошло не менее 5 (Пяти) лет.
6.1.2. При обезличивании персональные данные в информационных системах Организации заменяются набором символов, по которому невозможно определить принадлежность персональных данных к конкретному субъекту.
6.1.3. Бумажные носители данных (документы) при обезличивании персональных данных уничтожаются.
6.1.4. Операция обезличивания персональных данных необратима.
6.1.5. Организация обязана обеспечить конфиденциальность в отношении персональных данных при необходимости проведения испытаний информационных систем на территории разработчика и произвести обезличивание персональных данных в передаваемых разработчику информационных системах.
6.1.6. Уничтожение персональных данных подразумевает прекращение какого-либо доступа к персональным данным.
6.1.7. При уничтожении персональных данных субъекта сотрудники Организации не могут получить доступ к персональным данным в информационных системах Организации.
6.1.8. Бумажные носители документов при уничтожении персональных данных уничтожаются, персональные данные в информационных системах Организации обезличиваются.
6.1.9. Персональные данные восстановлению не подлежат.
6.1.10. Срок, после которого возможна операция уничтожения персональных данных определяется окончанием срока указанным в пункте 7.4 настоящего Положения.
7. Передача и хранение персональных данных
7.1. Передача персональных данных:
7.1.1. Под передачей персональных данных субъектов персональных данных понимается распространение информации по каналам связи (Интернет) и на материальных носителях
7.1.2. При передаче персональных данных субъектов персональных данных сотрудники Организации должны соблюдать следующие требования:
7.1.2.1. Не сообщать персональные данные субъектов персональных данных третьим лицам в коммерческих целях. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью телефонных средств связи не допускается, за исключением случаев, когда субъект персональных данных дал свое согласие.
7.1.2.2. Осуществлять передачу персональных данных в пределах Организации в соответствии с настоящим Положением, Правилами доступа и обработки персональных данных, Приказами Генерального директора Организации, нормативно-технологической документацией Организации и должностными инструкциями.
7.1.2.3. Разрешать доступ к персональным данным только специально уполномоченным Приказом Генерального директора лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения ими должностных обязанностей, на основании назначенного им Уровня доступа к персональным данным.
7.1.2.4. Передавать персональные данные его представителям в порядке, установленном Законодательством Российской Федерации и нормативно-технологической документацией Организации и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функции.
7.2. Трансграничная передача персональных данных Организацией не осуществляется.
7.3. При возникновении необходимости трансграничной передачи Организации персональных данных в интересах субъектов персональных данных, трансграничная передача Организацией персональных данных осуществляется только на территории иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц, в соответствии с действующим законодательством РФ и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.
Данная трансграничная передача персональных данных ей, может осуществляться в случаях:
1) наличия согласия субъекта персональных данных в письменной форме на трансграничную передачу персональных данных;
2) предусмотренных международными договорами Российской Федерации;
3) предусмотренных федеральными законами Российской Федерации, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства, а также обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства;
4) исполнения сделки, стороной и выгодоприобретателем которого является субъект персональных данных;
5) защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта на трансграничную передачу его персональных данных.
7.4. Хранение и использование персональных данных:
7.4.1. Под хранением персональных данных понимается существование записей в информационных системах Организации, на материальных, машинных и бумажных носителях.
7.4.2. Персональные данные субъектов персональных данных обрабатываются и хранятся в информационных системах Организации, а также на бумажных носителях в Организации.
7.4.3. Хранение персональных данных может осуществляться не дольше, чем этого требуют цели обработки, если иное не предусмотрено федеральными законами.
7.5. Сроки хранения персональных данных:
7.5.1. Сроки хранения заявлений, претензий, анкет, гражданско-правовых договоров, ксерокопий документов, содержащих персональные данные субъектов персональных данных, а также сопутствующих документов - 25 лет с момента получения документа/информации, содержащей персональные данные субъекта, при условии окончания всех взаимоотношений на данный момент с субъектом персональных данных, в случаях хранения личных дел сотрудников Организации – 75 лет с момента начала хранения информации.
7.4.2. В течение срока хранения персональные данные не могут быть обезличены или уничтожены.
7.4.3. По истечении срока хранения персональные данные субъектов персональных данных могут быть обезличены в информационных системах Организации и уничтожены на бумажном носителе.
8. Доступ к персональным данным
8.1. Право доступа к персональным данным имеют сотрудники Организации, состоящие на должностях, перечень которых утверждается Приказом Генерального директора Организации.
8.2. Сотрудники Организации, получившие доступ к персональным данным, обязаны использовать их лишь в целях, для которых им сообщены персональные данные субъектов персональных данных и обязаны соблюдать режим секретности (конфиденциальности) при обработке и использовании полученной информации (персональных данных).
8.3.субъект персональных данных может получить доступ к своим персональным данным с письменного заявления, включая право на безвозмездное получение копий любой записи, содержащей его персональные данные.
9. Права Организации как оператора персональных данных
Организация, являющаяся оператором персональных данных, вправе:
9.1. Отстаивать свои интересы в суде.
9.2. Предоставлять персональные данные субъектов персональных данных третьим лицам, в порядке и если это предусмотрено действующим законодательством Российской Федерации (налоговые, правоохранительные органы и др.).
9.3. Отказать в предоставлении персональных данных субъектов персональных данных в случаях предусмотренных Законодательством Российской Федерации.
9.4. Использовать персональные данные субъекта персональных данных без его согласия, в случаях предусмотренных Законодательством Российской Федерации.
9.5. Обезличивать или уничтожать персональные данные субъектов персональных данных по окончании их использования и истечении срока хранения персональных данных.
10. Права субъекта персональных данных
10.1. Субъект персональных данных имеет право:
10.1.1. Как пользователь самостоятельно уточнять, уничтожать свои персональные данные на своей личной странице.
10.1.2. Письменно требовать уточнения Организацией своих персональных данных или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
10.1.2. Требовать перечень своих обрабатываемых персональных данных, имеющихся в Организации и источник их получения.
10.1.3. Получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения.
10.1.4. Требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.
10.1.5. Обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке его персональных данных.
11. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных
11.1. Сотрудники Организации, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с Законодательством Российской Федерации.
11.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки его персональных данных, установленных Законодательством Российской Федерации, а также требований к защите персональных данных, установленных в соответствии с Законодательством Российской Федерации, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных убытков.
12. Внесение изменений и дополнений в настоящее Положение
12.1. Изменения и дополнения в настоящее Положение вносятся после согласования с Руководителями отделов Организации и утверждаются приказом Руководителя Организации.
12.2. Все изменения и дополнения настоящего Положения вступают в силу с момента их утверждения Приказом Генерального директора Организации.
